IA dans une prestation d'agence : les clauses de souveraineté et de données à négocier

L'intégration de modèles d'intelligence artificielle dans les prestations d'agence est devenue banale : génération de contenus, traitement de données clients, assistants internes, analyse de documents, automatisation de tâches. Ce qui a changé, c'est que ces usages font désormais transiter des informations de votre entreprise vers des infrastructures que vous ne maîtrisez pas et que votre prestataire ne maîtrise pas forcément non plus. D'après le média, le choix d'un fournisseur d'IA relève, pour certains acteurs institutionnels, d'une décision stratégique liée à la criticité des opérations concernées. La même logique s'applique, à une autre échelle, à une entreprise privée.

Le premier travail à faire est interne, avant toute consultation. Classez vos données selon trois niveaux : ce qui peut circuler sans risque, ce qui ne doit pas sortir de votre organisation, et ce qui est soumis à une obligation légale ou contractuelle particulière. Données personnelles de clients ou de salariés, informations couvertes par un accord de confidentialité, savoir-faire technique, éléments financiers non publics : chacun de ces ensembles appelle un traitement différent. Sans cette classification, vous ne pouvez pas rédiger d'exigence crédible.

Adressez ensuite au prestataire une série de questions précises et exigez des réponses écrites. Quels outils ou modèles d'IA sont utilisés, et par quel fournisseur sont-ils opérés ? Où sont hébergées les infrastructures qui traitent les données, dans quel pays et sous quelle juridiction ? Les données transmises servent-elles à l'entraînement ou à l'amélioration des modèles, et existe-t-il une option de désactivation ? Combien de temps les données sont-elles conservées ? Quels sous-traitants interviennent dans la chaîne ? Une agence sérieuse dispose de ces réponses ou va les chercher ; une agence qui esquive vous expose.

Au contrat, plusieurs clauses méritent d'être négociées explicitement. Une clause de localisation précisant les zones géographiques autorisées pour l'hébergement et le traitement. Une clause d'interdiction d'utilisation de vos données à des fins d'entraînement, sauf accord écrit distinct. Une clause de transparence sur la chaîne de sous-traitance, avec obligation d'information préalable en cas de changement de fournisseur. Une clause de confidentialité couvrant explicitement les saisies effectuées dans des outils tiers. Et une clause de réversibilité garantissant la restitution et l'effacement des données en fin de contrat, avec attestation.

Si des données personnelles sont concernées, le cadre du règlement européen s'applique et impose un contrat de sous-traitance en bonne et due forme, avec description des traitements, des finalités, des durées de conservation et des mesures de sécurité. Vérifiez que l'agence sait vous en parler et dispose d'un modèle. Vérifiez également comment sont encadrés les éventuels transferts hors de l'Union européenne. Ce n'est pas une formalité : c'est vous, en tant que responsable de traitement, qui restez comptable vis-à-vis de vos clients et de l'autorité de contrôle.

Prévoyez aussi le volet qualité et responsabilité. Qui relit les productions générées avec l'aide d'un outil d'IA avant livraison ? Qui est responsable en cas d'erreur factuelle, de contenu inapproprié ou d'atteinte aux droits d'un tiers dans un livrable ? La propriété des livrables vous est-elle bien cédée, et l'agence garantit-elle disposer des droits nécessaires ? Faites inscrire une obligation de relecture humaine sur tout livrable destiné à une diffusion externe.

Côté sélection, la maturité sur ces sujets est un critère discriminant utile. Demandez à chaque agence consultée sa politique interne d'usage de l'IA : outils autorisés, règles de saisie, formation des équipes, procédure en cas d'incident. Une agence qui a formalisé cette politique et peut vous la transmettre en une page démontre un niveau d'organisation supérieur à celle qui improvise. Ce document vaut souvent mieux qu'une longue plaquette.

Enfin, adaptez le niveau d'exigence à la sensibilité réelle du projet. Une campagne de communication grand public ne justifie pas le même dispositif contractuel qu'un projet manipulant des données clients ou des informations stratégiques. Sur-contractualiser un petit projet allonge les délais et écarte de bonnes agences de taille modeste. Le bon réflexe est de définir deux ou trois niveaux d'exigence dans votre organisation et d'appliquer celui qui correspond au projet.